Socket opisał 319 rozszerzeń Chrome przejmujących wyszukiwanie

29 października 2026 r. Socket opublikował analizę 319 rozszerzeń Chrome, które według badaczy zmieniały domyślną wyszukiwarkę i kierowały zapytania przez serwery kontrolowane przez operatorów. Socket oszacował łączną historyczną liczbę użytkowników lub instalacji na około 13,4 mln. To szacunek obejmujący dekadę, nie liczba osób aktualnie korzystających z tych rozszerzeń.

Skąd wzięły się rozbieżności w liczbach?

Socket opisał 319 różnych rozszerzeń. Tymczasem BleepingComputer podał, że wcześniejsze badania objęły 57 rozszerzeń, a nowe ustalenia dodały 264. Te liczby sumują się do 321, a nie 319.

Rozbieżność dotyczy też szacunków użytkowników. BleepingComputer podał 6 mln dla wcześniejszej grupy i 8,7 mln dla nowych rozszerzeń. Razem to 14,7 mln, nie około 13,4 mln. Osobne szacunki Socket według kategorii operatorów dają około 13,44 mln, ale nie wyjaśniają różnicy między tymi zestawieniami.

Jak rozszerzenie może przekierować wyszukiwanie bez żądania uprawnień?

Socket opisuje mechanizm oparty na ustawieniu manifestu rozszerzenia chrome_settings_overrides, które może zmienić domyślnego dostawcę wyszukiwania w Chrome. W przykładzie Socket rozszerzenie nie żądało uprawnień ani nie korzystało ze skryptów działających w tle lub skryptów treści. Mimo to zapytania mogły trafiać do serwera pośredniczącego kontrolowanego przez operatora. (Socket)

Taki serwer, czyli proxy, może odbierać zapytania i wybierać ich dalszy cel. Socket opisał też identyfikatory poleceń partnerskich powiązane z Yahoo i Bing, które mogły przynosić operatorom przychody z przekierowań. Sama lista żądanych uprawnień nie mówi więc, dokąd trafiają wyszukiwania obsługiwane przez rozszerzenie.

Co pokazał przykład Predator Search?

W teście opisanym przez Socket sześć identycznych wyszukiwań zakończyło się czterema różnymi rezultatami. Prowadziły bezpośrednio do Yahoo z identyfikatorami partnerskimi, do strony searchlio.net, przez searchtosearch.com i mcftink.com z powrotem do Yahoo albo do strony błędu Cloudflare. Socket podał, że rozszerzenie nie zmieniało się między zapytaniami, a o ich celu decydował proxy.

Jak Socket dzieli swoje szacunki?

Socket przypisał 200 rozszerzeń zidentyfikowanym operatorom, a 119 operatorom nieznanym. Podane liczby użytkowników są przybliżonymi szacunkami historycznymi.

Socket twierdzi, że opisywana działalność sięga 2016 r. Wśród wymienionych grup SecuryBrowse obejmował według badaczy 58 rozszerzeń i około 4,901 mln użytkowników, a Bing-Search 37 rozszerzeń i około 2,210 mln. Są to szacunki Socket dotyczące historycznej skali tych grup.